Statistiche sulla Conformità DORA 2026: Ambito, Sanzioni e Applicazione

Il Digital Operational Resilience Act (DORA) è diventato pienamente applicabile il 17 gennaio 2025, rappresentando una delle tappe normative più significative per il settore finanziario europeo. DORA richiede a più di 22.000 entità finanziarie e ai loro fornitori di servizi ICT di rispettare standard rigorosi in materia di gestione del rischio ICT, segnalazione degli incidenti, test di resilienza e gestione del rischio di terze parti.

Questa pagina espone ciò che DORA richiede: ambito di applicazione, quadro sanzionatorio, supervisione dei fornitori ICT terzi, tempistiche di segnalazione degli incidenti, obblighi di test e calendario.

Ambito di Applicazione e Portata di DORA

DORA si applica a 21 tipi di entità finanziarie e ai loro fornitori di servizi ICT terzi. A differenza di molte normative finanziarie che si concentrano esclusivamente sulle banche, DORA copre l'intero spettro del settore finanziario dell'UE.

• Più di 22.000 entità finanziarie e fornitori di servizi ICT rientrano nell'ambito di DORA in tutta l'UE.
• L'articolo 2 di DORA elenca i 21 tipi di entità finanziaria coperti.

Entità Finanziarie nell'Ambito di Applicazione

DORA si applica a enti creditizi (banche), istituti di pagamento, istituti di moneta elettronica, imprese di investimento, prestatori di servizi per le cripto-attività (CASP), depositari centrali di titoli (CSD), controparti centrali (CCP), sedi di negoziazione, repertori di dati sulle negoziazioni, gestori di fondi di investimento alternativi (GEFIA), società di gestione di OICVM, imprese di assicurazione e riassicurazione, intermediari assicurativi e riassicurativi, enti pensionistici aziendali o professionali, agenzie di rating del credito, revisori legali e società di revisione, amministratori di indici di riferimento critici, fornitori di servizi di crowdfunding, repertori per le cartolarizzazioni e fornitori di servizi di comunicazione dati.

Costi della Conformità DORA

Il costo della conformità DORA dipende dalle dimensioni e dalla complessità dell'entità. I grandi gruppi finanziari avviano programmi pluriennali con personale dedicato. Le entità più piccole rispettano le stesse regole con i team esistenti, purché il registro delle informazioni e le prove dei test siano completi. Il threat-led penetration testing è la voce ricorrente più pesante per le entità che vi rientrano.

Sanzioni e Applicazione di DORA

Il quadro sanzionatorio di DORA è definito a livello UE ma lascia ampia discrezionalità agli stati membri, con conseguenti implementazioni nazionali divergenti.

Quadro Sanzionatorio a Livello UE (Articolo 50 di DORA)

Divergenze Nazionali nell'Implementazione delle Sanzioni

Gli stati membri hanno implementato le disposizioni sanzionatorie di DORA con variazioni significative:

Ulteriori Poteri di Applicazione

Oltre alle sanzioni pecuniarie, le autorità di vigilanza hanno il potere di emettere comunicazioni pubbliche delle violazioni, ordini correttivi vincolanti, sospensione o limitazione delle attività commerciali e revoca dell'autorizzazione o delle licenze.

Responsabilità Penale

L'articolo 52 di DORA consente agli stati membri di imporre sanzioni penali. I membri dei consigli di amministrazione possono essere soggetti a responsabilità civile personale e potenzialmente a responsabilità penale per grave negligenza nel garantire la resilienza operativa digitale.

Fornitori ICT Terzi Critici (CTPP)

Il 18 novembre 2025, le Autorità Europee di Vigilanza hanno pubblicato il primo elenco in assoluto dei Fornitori ICT Terzi Critici ai sensi di DORA. Questi 19 fornitori sono ora soggetti alla supervisione diretta del Joint Oversight Forum.

I 19 Fornitori ICT Terzi Critici Designati

Registro delle Informazioni

Tutte le entità finanziarie soggette a DORA devono mantenere un registro di tutti gli accordi contrattuali con fornitori di servizi ICT terzi. Data di riferimento: 31 marzo 2025. Le autorità nazionali hanno trasmesso i registri alle ESA entro il 30 aprile 2025 per l'analisi di designazione.

Segnalazione degli Incidenti ICT secondo DORA

DORA introduce uno dei quadri di segnalazione degli incidenti più rigorosi nella regolamentazione finanziaria, con tempistiche di segnalazione misurate in ore anziché in giorni.

Tempistiche di Segnalazione (Regolamento Delegato della Commissione 2025/302)

Criteri di Classificazione

Un incidente ICT è classificato come grave quando i servizi critici sono impattati negativamente E si verifica almeno una delle seguenti condizioni: (a) un accesso non autorizzato malevolo riuscito che potrebbe comportare perdite di dati, OPPURE (b) due o più soglie di materialità vengono raggiunte (clienti interessati, controparti finanziarie o transazioni).

Threat-Led Penetration Testing (TLPT)

DORA impone test di sicurezza avanzati per le entità finanziarie significative, basandosi sul framework TIBER-EU con requisiti giuridicamente vincolanti.

• Il TLPT è obbligatorio ogni 3 anni per le entità che il supervisore identifica come "significative" (articolo 26 di DORA).
• La prima scadenza TLPT cade il 17 gennaio 2028, tre anni dopo la data di applicazione di DORA.
• Il purple teaming è obbligatorio ai sensi di DORA. Sotto TIBER-EU era solo raccomandato.
• Il fornitore di threat intelligence deve essere sempre esterno.
• Ogni terzo test deve utilizzare un red team esterno.
• Il TLPT RTS è stato pubblicato il 18 giugno 2025 ed è in vigore dall'8 luglio 2025.

Condivisione delle Informazioni secondo DORA (Articolo 45)

DORA incoraggia (ma non obbliga) le entità finanziarie a scambiare intelligence sulle minacce informatiche. Sebbene la condivisione delle informazioni in sé sia volontaria, le entità sono tenute a informare le autorità di regolamentazione su come partecipano agli accordi di condivisione delle informazioni.

Le informazioni condivise includono indicatori di compromissione, tattiche/tecniche/procedure, avvisi di cybersicurezza e strumenti di configurazione. Gli accordi devono proteggere le informazioni sensibili, rispettare la riservatezza commerciale, la protezione dei dati personali e il diritto della concorrenza.

Standard Tecnici DORA

Le Autorità Europee di Vigilanza (EBA, ESMA, EIOPA) hanno sviluppato un totale di 11 prodotti normativi per rendere operativo DORA:

Primo Pacchetto (gennaio 2024, pubblicato nella Gazzetta Ufficiale a giugno 2024): 3 RTS + 1 ITS

• RTS sui framework di gestione del rischio ICT
• RTS sui criteri di classificazione degli incidenti ICT
• RTS sulle politiche relative ai servizi ICT forniti da terze parti a supporto di funzioni critiche
• ITS per la definizione dei modelli del registro di outsourcing

Secondo Pacchetto (luglio 2024): 4 RTS + 1 ITS + 2 Linee Guida

Cronologia di DORA

I Cinque Pilastri di DORA

DORA è strutturato attorno a cinque pilastri, ciascuno con requisiti specifici:

Pilastro I: Gestione del Rischio ICT

Le entità devono istituire framework completi di gestione del rischio ICT che coprano identificazione, protezione, rilevamento, risposta e ripristino.

Pilastro II: Gestione e Segnalazione degli Incidenti ICT

Gli incidenti ICT gravi devono essere classificati entro 24 ore e segnalati alle autorità di vigilanza entro 4 ore dalla classificazione.

Pilastro III: Test di Resilienza Operativa Digitale

Sono richiesti test regolari dei sistemi ICT, con TLPT obbligatorio ogni 3 anni per le entità significative.

Pilastro IV: Gestione del Rischio ICT di Terze Parti

Le entità devono mantenere un registro di tutti gli accordi con terze parti ICT e valutare il rischio di concentrazione. Il registro è la parte di DORA che risulta più ostica alla maggior parte delle entità.

Pilastro V: Condivisione delle Informazioni

Scambio volontario di intelligence sulle minacce informatiche tra entità finanziarie, con obbligo di comunicare alle autorità di regolamentazione la partecipazione ad accordi di condivisione.

Domande Frequenti

D: Quante entità finanziarie sono interessate da DORA?

R: Più di 22.000 entità finanziarie e fornitori di servizi ICT rientrano nell'ambito di DORA in tutta l'UE. Ciò include 21 tipi di entità finanziarie, dalle banche e assicurazioni ai prestatori di servizi per le cripto-attività e alle piattaforme di crowdfunding, oltre ai loro fornitori di servizi ICT terzi.

D: Quali sono le sanzioni massime previste da DORA?

R: Le entità finanziarie rischiano sanzioni fino al 2% del fatturato annuo mondiale totale. I singoli individui nelle entità finanziarie rischiano sanzioni fino a EUR 1.000.000. I Fornitori ICT Terzi Critici rischiano sanzioni fino a EUR 5.000.000, con penalità giornaliere fino all'1% del fatturato giornaliero medio per non conformità continuata. Alcuni stati membri hanno implementato limiti più elevati, con la Svezia che consente fino al 10% del fatturato.

D: Quanto costa la conformità DORA?

R: Il costo dipende da dimensioni e complessità. I grandi gruppi avviano programmi pluriennali con personale dedicato e tester esterni. Le entità più piccole se la cavano con i team esistenti. Le voci ricorrenti sono il threat-led penetration testing, la manutenzione del registro delle informazioni e il processo di segnalazione degli incidenti.

D: Quali sono le scadenze per la segnalazione degli incidenti secondo DORA?

R: DORA richiede la classificazione dal rilevamento entro 24 ore, la notifica iniziale entro 4 ore dalla classificazione, un report intermedio entro 72 ore e un report finale entro 1 mese.

D: Quali fornitori ICT sono stati designati come Critici ai sensi di DORA?

R: Il 18 novembre 2025, le ESA hanno pubblicato il primo elenco di 19 Fornitori ICT Terzi Critici. L'elenco include AWS, Google Cloud, Microsoft, IBM, SAP, Oracle, Accenture, Bloomberg e altri. Questi fornitori sono soggetti alla supervisione diretta del Joint Oversight Forum.

Questa pagina riporta DORA, i regolamenti delegati adottati in sua attuazione e le decisioni pubblicate dalle Autorità Europee di Vigilanza. Viene aggiornata quando emergono nuovi dati sull'applicazione.

Ultimo aggiornamento: marzo 2026

Letture correlate

• DORA in Italia: Guida alla Conformità per Istituti Finanziari sotto Banca d'Italia e CONSOB
• Lista di Controllo per la Conformità DORA: Tutto Ciò di Cui Hanno Bisogno i Servizi Finanziari nel 2026
• Sanzioni DORA: Cosa Succede Quando le Istituzioni Finanziarie Non Rispondono

Pronto a passare all'azione? Matproof esegue penetration test con IA e monitoraggio della conformità in modo continuo. Prenota una demo.